当前位置：首页 > news >正文

Frida实战：Hook Android原生网络库，解密WhatsApp GIF请求

news 2026/5/12 16:26:40

1. 为什么需要Hook Android网络请求

在移动应用安全分析和逆向工程领域，Hook网络请求是一项基础但至关重要的技能。想象一下你正在调试一个社交应用，想了解它如何加载那些有趣的GIF表情，或者分析某个金融应用的API加密逻辑。这时候，直接查看应用发出的网络请求内容就成了最直观的方法。

Android系统提供了多种网络请求方式，最常见的是HttpURLConnection和OkHttp。WhatsApp这类主流应用通常会使用OkHttp这类现代网络库，但系统底层的API调用仍然基于传统的Java网络库。Hook这些网络库能让我们看到应用在"幕后"究竟发送和接收了哪些数据。

我遇到过不少开发者，他们以为加了HTTPS就万事大吉了。但实际上，即使使用HTTPS，我们仍然可以查看请求的URL、参数和响应数据。这就是为什么安全测试中网络请求分析如此重要 - 它能暴露应用可能存在的敏感信息泄露、不安全的API设计等问题。

2. Frida工具链快速入门

Frida是一个强大的动态代码插桩工具，它允许我们在运行时注入JavaScript代码到目标进程中。与Xposed这样的框架不同，Frida不需要root设备，只需要在调试模式下就能工作，这大大降低了使用门槛。

安装Frida非常简单：

pip install frida-tools

然后需要在Android设备上安装对应的frida-server。记得选择与桌面端版本匹配的server二进制文件，推送到设备并运行：

adb push frida-server /data/local/tmp/ adb shell "chmod 755 /data/local/tmp/frida-server" adb shell "/data/local/tmp/frida-server &"

Frida的核心原理是通过ptrace系统调用附加到目标进程，然后在内存中注入一个JavaScript运行时环境。这个环境可以访问进程的所有Java类和原生函数，让我们能够动态修改应用行为。

3. 编写Frida脚本Hook网络请求

让我们来看一个实际的例子，Hook WhatsApp的GIF加载请求。以下脚本会拦截HttpURLConnection的关键方法：

Java.perform(function () { // 获取HttpURLConnection类的引用 var HttpURLConnection = Java.use('java.net.HttpURLConnection'); var URL = Java.use('java.net.URL'); // 保存原始方法引用 var originalOpenConnection = URL.openConnection; // Hook openConnection方法 URL.openConnection.overload().implementation = function () { var connection = originalOpenConnection.call(this); console.log('[+] 发起请求: ' + this.toString()); return connection; }; // Hook getResponseCode方法 var originalGetResponseCode = HttpURLConnection.getResponseCode; HttpURLConnection.getResponseCode.implementation = function () { var responseCode = originalGetResponseCode.call(this); console.log('[+] 响应代码: ' + responseCode + ' for URL: ' + this.getURL()); return responseCode; }; // Hook getInputStream方法获取响应数据 var originalGetInputStream = HttpURLConnection.getInputStream; HttpURLConnection.getInputStream.implementation = function () { var inputStream = originalGetInputStream.call(this); // 这里可以添加响应内容读取逻辑 return inputStream; }; });

这个脚本做了三件事：

拦截URL.openConnection()调用，打印所有发起的请求URL
拦截getResponseCode()调用，打印响应状态码
拦截getInputStream()调用，为后续读取响应数据做准备

4. 解密WhatsApp的GIF请求实战

当我们运行上述脚本并打开WhatsApp的GIF面板时，会看到类似这样的输出：

[+] 发起请求: https://wa.tenor.co/v1/trending?key=NX2ZM22Q1B3I [+] 响应代码: 200 for URL: https://wa.tenor.co/v1/trending?key=NX2ZM22Q1B3I

这个请求返回的是一个JSON，包含了GIF的元数据和各种尺寸的URL。有趣的是，WhatsApp并没有自己托管这些GIF，而是使用了第三方服务Tenor的API。

要进一步查看响应内容，我们可以修改getInputStream的hook：

HttpURLConnection.getInputStream.implementation = function () { var inputStream = originalGetInputStream.call(this); // 将输入流转换为字符串 var scanner = new java.util.Scanner(inputStream).useDelimiter("\\A"); var response = scanner.hasNext() ? scanner.next() : ""; console.log('[+] 响应数据: ' + response); // 重新包装输入流，因为我们已经消费了原始流 return new java.io.ByteArrayInputStream(response.getBytes()); };

现在我们可以看到完整的API响应，包含GIF的ID、标题、各种尺寸的URL等信息。这对于分析WhatsApp如何加载和显示GIF非常有帮助。

5. 高级技巧：处理OkHttp和加密流量

现代应用如WhatsApp很可能使用OkHttp而不是原生的HttpURLConnection。Hook OkHttp需要不同的方法：

Java.perform(function () { var OkHttpClient = Java.use('okhttp3.OkHttpClient'); var RealCall = Java.use('okhttp3.RealCall'); RealCall.execute.implementation = function () { var response = this.execute(); console.log('[OkHttp] 请求URL: ' + this.request().url()); console.log('[OkHttp] 响应码: ' + response.code()); return response; }; });

对于加密流量，虽然HTTPS能防止中间人查看内容，但我们仍然可以通过Hook应用的解密逻辑来获取明文。例如，如果应用在收到数据后自行解密，我们可以找到解密方法并Hook它。

6. 常见问题与调试技巧

在实际使用中，你可能会遇到各种问题。比如某些方法无法Hook，可能是因为ProGuard混淆了类名和方法名。这时候需要先进行逆向工程，分析出实际的类结构。

调试Frida脚本时，可以使用以下技巧：

使用console.log()输出调试信息
用Java.available检查Java环境是否就绪
使用Java.enumerateLoadedClasses()查找目标类

一个实用的调试代码片段：

Java.perform(function () { Java.enumerateLoadedClasses({ onMatch: function(className) { if (className.includes('Http')) { console.log('发现HTTP相关类: ' + className); } }, onComplete: function() {} }); });